Datenschutz88. Weblaw Rundmail Datenschutz

Wir bilden Expert:innen aus: Weiterbildung für Fachkräfte mit nachgewiesener Datenschutzgrundbildung, die ihre Expertise vertiefen möchten

Start: 12. März 2027 (Dauer: ca. 6 Monate, 14 Kurstage , + 1 Tag Präsentationen)
Winterthur, Zürcher Hochschule für Angewandte Wissenschaften

Die Öffentlichkeitsfahndung im Nachgang von Ausschreitungen und Krawallen hat sich durch digitale Persistenz und KI-Gesichtssuchmaschinen fundamental gewandelt, die Rechtsgrundlage in Art. 211 StPO ist hingegen seit 2011 unverändert geblieben. Die Autor*innen analysieren das geltende Recht hinsichtlich Bestimmtheitsgebot und Verhältnismässigkeit, zeigen die beweisrechtlichen Folgen einer unzureichenden Rechtsgrundlage auf und entwickeln Vorschläge de lege ferenda hinsichtlich Voraussetzungen, Anwendungsmodalitäten und Anordnungskompetenz.

Cyber Threat Intelligence (CTI) ist essenzieller Bestandteil aktueller Cybersicherheitsstrategien und gehört somit zu den wichtigsten Tätigkeiten von Anbietern verwalteter Sicherheitsdienste (Managed Security Service Providers, MSSP). Das Teilen von Daten zu Cyberbedrohungen bzw. von CTI steht prinzipiell im Interesse der Akteure, die Cyberbedrohungen ausgesetzt sind, und zwar erst recht dann, wenn diese Cyberbedrohungen ähnlicher Natur sind. Damit entsteht indes ein potenzieller Interessenskonflikt mit den MSSP, die sich durch das Teilen solcher Daten bspw. in ihren Immaterialgüterrechten verletzt sehen könnten. Der vorliegende Beitrag diskutiert den rechtlichen Rahmen für föderierte CTI mit besonderem Fokus auf urheberrechtliche und datenrechtliche Anforderungen.

Das Übereinkommen des Europarats über die Cyberkriminalität vom November 2001 ist das erste internationale Übereinkommen im Bereich des «Computerstrafrechts». Im Rahmen der Konvention stellt die indirekte Beschaffung von Daten im Ausland mittels Rechtshilfe den Standard für die Erhebung von Beweismitteln im Ausland dar, während der direkte Zugriff auf Daten in anderen Staaten unter den Vorbehalt der Zustimmung der betroffenen Person gestellt wird. Die 2018 in Kraft getretenen Bestimmungen des US-Amerikanischen CLOUD-Acts über direkte Zugriffsmöglichkeiten US-Amerikanischer Gerichte auf gewisse Daten im Ausland haben im schweizerischen Recht zu einer Diskussion darüber geführt, inwiefern Art. 18 des Übereinkommens die Staaten dazu ermächtigt, unilaterale Rechtsgrundlagen für die extraterritoriale Datenerhebungen durch ihre Behörden zu erlassen. Der Beitrag untersucht das rechtliche Verhältnis zwischen den Vorgaben der Konvention zur indirekten und direkten Datenerhebung im Ausland und stellt diese in Beziehung zur Hanoi-Konvention der Vereinten Nationen gegen Computerkriminalität.

Für Banken, Kanzleien, Versicherungen und die öffentliche Verwaltung ist der Einsatz von Cloud und generativer KI heute weniger eine Frage des Speicherorts als der technischen Kontrollsphäre. Entscheidend ist, wer Daten im Klartext verarbeiten kann, wer die kryptografischen Schlüssel kontrolliert und welchem ausländischen Recht die Lieferkette unterliegt. Der Beitrag untersucht die dogmatischen Grenzen der Geheimnisoffenbarung im schweizerischen und liechtensteinischen Recht und entwickelt mit dem «Minimum Best Standard» (MBS) einen Legal-by-Design-Ansatz für regulierte KI-Architekturen.

Künstliche Intelligenz hält zunehmend Einzug in Unternehmen und verändert Arbeitsprozesse, insbesondere im HR-Bereich. Neben Chancen wie Effizienzsteigerung und Entscheidungsunterstützung bergen sowohl inoffizielle als auch offizielle KI-Einsätze im Arbeitsverhältnis Risiken, insbesondere in Bezug auf Datenschutz, Arbeitsrecht und Haftung. Der Beitrag zeigt auf, weshalb Arbeitgeber klare Regeln, Schulungen und Kontrollmechanismen einführen müssen, um diese Risiken zu minimieren. Die Autorin analysiert praxisnah die rechtlichen und organisatorischen Herausforderungen und gibt Handlungsempfehlungen für einen rechtskonformen KI-Einsatz im Arbeitsverhältnis.

Generative künstliche Intelligenz verändert die Möglichkeiten digitaler Gewalt grundlegend. Deepfakes und KI-gestützte Identitätsmanipulationen erlauben es erstmals, Personen täuschend echt zu imitieren, ihre Identität zu übernehmen und sie gegen ihren Willen in sexualisierte Kontexte zu versetzen. Der Beitrag untersucht diese neue Form digitaler Gewalt am Beispiel nicht einvernehmlicher sexualisierter Deepfakes. Er analysiert die zivil-, datenschutz- und strafrechtlichen Schutzmechanismen des schweizerischen Rechts, zeigt bestehende Schutzlücken auf und diskutiert rechtsvergleichende Entwicklungen in Europa. Im Zentrum steht die Frage, wie die sexuelle Selbstbestimmung und die digitale Identitätsintegrität künftig wirksam geschützt werden können.

Der 33. Tätigkeitsbericht des EDÖB zeigt eine verstärkte Aufsichtspraxis unter dem revidierten Datenschutzgesetz. Schwerpunkte bilden insbesondere Künstliche Intelligenz, biometrische Datenbearbeitungen, internationale Datenbearbeitungen sowie die frühzeitige Einbindung des Datenschutzes («Privacy by Design»).

Der Bericht dokumentiert zudem eine aktivere Nutzung der Untersuchungs- und Durchsetzungsbefugnisse des EDÖB und betont die Bedeutung des Öffentlichkeitsprinzips, dessen gesetzliche Grundlage 2026 ihr 20-jähriges Bestehen feiert.

Der EDÖB verpflichtete Cream della Cream Switzerland GmbH und Philipp Plein International AG, die Verarbeitung personenbezogener Daten zu Werbezwecken nach einem Widerspruch unverzüglich einzustellen und die Daten auf Verlangen zu löschen. Die Unternehmen hatten trotz Widerspruch und teilweise sogar nach bestätigter Löschung weiterhin Werbe-E-Mails und SMS versandt.

Der EDÖB qualifizierte dieses Verhalten als Verstoss gegen den Grundsatz von Treu und Glauben sowie gegen das Widerspruchs- und Löschungsrecht nach dem DSG. Die Verfügung ist rechtskräftig geworden, nachdem sie nicht angefochten wurde.

Der EDPB weist die belgische Datenschutzbehörde an, eine von NOYB eingereichte Beschwerde gegen die Cookie-Banner des belgischen Rundfunks VRT nicht wegen angeblichen Rechtsmissbrauchs abzuweisen, sondern inhaltlich zu beurteilen. Die Voraussetzungen für einen Missbrauch der Beschwerderechte nach Art. 77 und Art. 80 Abs. 1 DSGVO seien nicht nachgewiesen. Die federführende Behörde muss daher einen neuen Entscheidungsentwurf zur Sache vorlegen.

Die Leitlinien 2/2026 des Europäischen Datenschutzausschusses (EDPB) konkretisieren die Voraussetzungen, unter denen personenbezogene Daten als wirksam anonymisiert gelten und damit nicht mehr in den Anwendungsbereich der DSGVO fallen.

Der EDPB betont, dass eine Anonymisierung irreversibel sein muss und eine Re-Identifizierung unter Berücksichtigung aller vernünftigerweise verfügbaren Mittel ausgeschlossen sein muss. Dabei werden technische Verfahren und Methoden zur Beurteilung des Re-Identifizierungsrisikos erläutert sowie die klare Abgrenzung zur Pseudonymisierung hervorgehoben.

Die Leitlinien 3/2026 des Europäischen Datenschutzausschusses (EDPB) konkretisieren die datenschutzrechtlichen Anforderungen an das Web Scraping für das Training generativer KI-Modelle. Web Scraping ist nicht per se unzulässig, setzt jedoch eine Rechtsgrundlage nach Art. 6 DSGVO sowie die Einhaltung der Grundsätze der Rechtmässigkeit, Zweckbindung, Datenminimierung und Transparenz voraus.

Besondere Anforderungen gelten bei der Verarbeitung besonderer Kategorien personenbezogener Daten; hierfür ist zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO erforderlich. Der EDPB empfiehlt zudem, nur zuverlässige Datenquellen zu nutzen, Daten vor ihrer Verwendung zu validieren und geeignete technische sowie organisatorische Massnahmen zur Begrenzung datenschutzrechtlicher Risiken umzusetzen.

Die Leitlinien konkretisieren die DSGVO-Anforderungen an die Verarbeitung personenbezogener Daten mittels Blockchain. Verantwortliche müssen bereits vor dem Einsatz prüfen, ob eine Blockchain erforderlich und geeignet ist, Rollen und Verantwortlichkeiten eindeutig zuweisen sowie insbesondere Datenminimierung, Speicherbegrenzung, Sicherheit und internationale Datentransfers berücksichtigen.

Wegen der nur schwer veränderbaren oder löschbaren Einträge empfiehlt der EDPB, personenbezogene Daten grundsätzlich nicht direkt auf der Blockchain zu speichern, sondern nach Möglichkeit auf externe Speicher- und kryptografische Schutzlösungen zurückzugreifen. Betroffenenrechte wie Berichtigung, Löschung und Widerspruch müssen technisch und organisatorisch wirksam gewährleistet bleiben; bei Smart Contracts sind zudem die Vorgaben zu automatisierten Entscheidungen zu beachten.

Die DatenschutzWoche vom 6. Juli 2026 beleuchtet insbesondere die Reformpläne der deutschen Regierungskoalition: Vorgesehen sind eine stärkere Zentralisierung der Datenschutzaufsicht, Erleichterungen für KMU und nicht kommerzielle Tätigkeiten sowie ein einheitliches Datengesetzbuch. Zugleich soll der behördliche Datenaustausch ausgeweitet werden.

Weitere Schwerpunkte bilden das Urteil des AG Arnsberg, wonach bereits ein erstes Auskunftsersuchen nach Art. 15 DSGVO bei missbräuchlicher Zielsetzung zurückgewiesen werden kann, sowie aktuelle Entwicklungen zur ungeschwärzten Akteneinsicht, zu Bonitätsprüfungen, Open Source in der Verwaltung und zum Datenschutz bei vernetzten Fahrzeugen.

Der EDPB und die EU-Geldwäschereibehörde AMLA erarbeiten gemeinsame Leitlinien zu Informationsaustauschpartnerschaften nach Art. 75 der Geldwäschereiverordnung. Diese sollen klären, wie verpflichtete Unternehmen, Behörden und Financial Intelligence Units Informationen zur Bekämpfung von Geldwäscherei und Terrorismusfinanzierung austauschen können, ohne die datenschutzrechtlichen Anforderungen zu verletzen. Die neue Regelung gilt ab 10. Juli 2027; eine öffentliche Konsultation zu den Leitlinien ist für das erste Halbjahr 2027 vorgesehen.

Der EDPB hat seine Übersicht zu grenzüberschreitenden One-Stop-Shop-Entscheidungen über das Widerspruchsrecht nach Art. 21 DSGVO und das Recht auf Löschung nach Art. 17 DSGVO aktualisiert. Die Zusammenstellung zeigt, wie Aufsichtsbehörden die internen Abläufe von Unternehmen zur Bearbeitung solcher Begehren beurteilen, welche Verstösse besonders häufig auftreten und welche Abhilfemassnahmen angeordnet werden. Erfasst sind unter anderem Widersprüche gegen Direktwerbung sowie Anträge auf Löschung von Nutzerkonten und Onlineprofilen.

Der EDPB hat ein spezielles Kontaktformular eingerichtet, über das Stakeholder mögliche Widersprüche bei der Auslegung der DSGVO in Europa melden können. Erfasst werden sowohl Abweichungen zwischen nationalen Behörden als auch Differenzen zwischen nationalen Positionen und der Auffassung des EDPB.

Die Eingaben werden nicht individuell beantwortet, sondern regelmässig gebündelt und auf Leitungsebene ausgewertet. Ziel ist es, divergierende Aufsichtspraktiken zu erkennen und die einheitliche Anwendung und Durchsetzung der DSGVO zu stärken.

Der EDPB hat eine gemeinsame Vorlage für Meldungen personenbezogener Datenschutzverletzungen nach Art. 33 DSGVO beschlossen. Sie soll die bislang unterschiedlichen nationalen Meldeformulare stärker vereinheitlichen, Verantwortlichen grenzüberschreitende Meldungen erleichtern und eine konsistentere Aufsichtspraxis in der EU fördern. Der Entwurf befindet sich bis zum 5. August 2026 in öffentlicher Konsultation.

Der EuGH hält die Veröffentlichung der Namen von Profisportlern, die gegen Anti-Doping-Vorschriften verstossen haben, grundsätzlich für mit dem Unionsrecht vereinbar. Eine gesetzlich vorgeschriebene, unterschiedslose Veröffentlichung ohne vorgängige Prüfung des Einzelfalls genügt den Anforderungen der DSGVO jedoch nicht.

Vor der Publikation müssen insbesondere Zweck, Erforderlichkeit und Verhältnismässigkeit der Massnahme sowie die betroffenen Interessen abgewogen werden. Dabei sind unter anderem Art und Schwere des Verstosses sowie Dauer und Folgen der Veröffentlichung zu berücksichtigen.

Der Bundesrat schlägt eine Änderung des Bundesdatenschutzgesetzes vor, um die föderale Datenschutzaufsicht stärker zu koordinieren und eine einheitlichere Rechtsanwendung zu gewährleisten. Die Datenschutzkonferenz soll gesetzlich verankert werden und ihre Mitglieder durch Mehrheitsbeschlüsse intern binden können.

Für verbundene Unternehmen und länderübergreifende Forschungsvorhaben ist zudem die Bündelung der Zuständigkeit bei einer federführenden Aufsichtsbehörde vorgesehen. Nach dem «Einer-für-Alle-Prinzip» soll die datenschutzrechtliche Bewertung eines unverändert eingesetzten Verfahrens oder Systems auch andere Aufsichtsbehörden binden und damit Doppelprüfungen vermeiden.

Der EuGH stellt klar, dass die entgeltliche Bereitstellung einer durchsuchbaren Online-Datenbank mit strafrechtlichen Verurteilungen grundsätzlich keine Datenverarbeitung zu journalistischen Zwecken im Sinne von Art. 85 DSGVO darstellt. Erforderlich wäre insbesondere, dass die Veröffentlichung der Information der Öffentlichkeit dient und nach journalistischen oder redaktionellen Standards erfolgt.

Nationale Regelungen dürfen eine solche Verarbeitung daher nicht pauschal von der DSGVO ausnehmen oder Betroffene allein auf zivil- oder strafrechtliche Ehrschutzklagen verweisen. Ihnen müssen die unmittelbar aus der DSGVO folgenden Rechte und Rechtsbehelfe offenstehen. Die abschliessende Beurteilung der konkreten Tätigkeit obliegt dem nationalen Gericht.

Der Supreme Court entschied am 29.06.2026, dass der Präsident FTC-Commissioner nach Belieben absetzen darf – damit steht die Unabhängigkeit der FTC infrage, auf die sich der Angemessenheitsbeschluss zum EU-US DPF stützt. noyb fordert die EU-Kommission zum geordneten Rückzug des Angemessenheitsbeschlusses auf. 

Der Rat hat am 29.06.2026 grünes Licht gegeben; die Hochrisiko-Pflichten werden auf den 2.12.2027 (Stand-alone-Systeme) bzw. 2.8.2028 (eingebettete Systeme) verschoben , nachdem das EU-Parlament am 16.06.2026 zugestimmt hatte . Inkrafttreten im Juli 2026 nach Publikation im Amtsblatt ; zudem neues Verbot von KI-generierten nicht-einvernehmlichen Intimbildern («Nudifier») in Art. 5.

Der Deutsche Bundestag hat am 25. Juni 2026 den Freiburger Rechtswissenschaftler Moritz Hennemann zum neuen Bundesbeauftragten für den Datenschutz und die Informationsfreiheit gewählt. Er erhielt 391 Stimmen und damit die erforderliche absolute Mehrheit.

Hennemann folgt auf Louisa Specht-Riemenschneider, die ihren Rücktritt aus gesundheitlichen Gründen angekündigt hatte und die Amtsgeschäfte bis Ende September weiterführt. Der künftige Amtsinhaber ist Professor für Zivil-, Informations-, Medien- und Internetrecht an der Universität Freiburg und nebenamtlicher Richter am OLG Karlsruhe.

Der EuGH stellt klar, dass die DSGVO ein nationales Gericht nicht grundsätzlich daran hindert, personenbezogene Daten als Beweismittel zu verarbeiten, selbst wenn eine Prozesspartei diese zuvor rechtswidrig erlangt hat. Die gerichtliche Verarbeitung ist eigenständig zu beurteilen und kann insbesondere zur Wahrnehmung einer Aufgabe im öffentlichen Interesse bzw. zur Ausübung der Rechtsprechung gerechtfertigt sein.

Das Gericht muss jedoch prüfen, ob die Verwendung der Daten erforderlich und verhältnismässig ist. Dabei sind die Offenlegung und weitere Verarbeitung auf das für das Verfahren notwendige Mass zu beschränken. Eine zwingende vorgängige Kontrolle, ob die Partei das Beweismittel datenschutzkonform beschafft hat, verlangt die DSGVO nicht.

Das SG Nürnberg verneint einen Schadensersatzanspruch nach Art. 82 DSGVO infolge des MOVEit-Hackerangriffs. Ein erfolgreicher Cyberangriff belegt für sich allein nicht, dass Verantwortlicher oder Auftragsverarbeiter unzureichende technische und organisatorische Massnahmen getroffen haben. Im konkreten Fall war die ausgenutzte Zero-Day-Sicherheitslücke nicht vorhersehbar; die eingesetzte Software galt als marktführend und wurde durch umfassende Schutzmassnahmen flankiert.

Auch ein ersatzfähiger immaterieller Schaden lag nicht vor. Rein hypothetische Missbrauchsrisiken oder pauschal behauptete Ängste genügen nicht; erforderlich sind eine begründete Befürchtung und nachgewiesene negative Folgen. Mangels konkreter Wahrscheinlichkeit künftiger Schäden scheiterte zudem der Feststellungsantrag.

Der BGH stellt klar, dass § 42 ZVG auch nicht am Verfahren beteiligten Personen einen weitreichenden Anspruch auf Einsicht in zentrale Bestandteile der Zwangsversteigerungsakte gewährt, ohne dass sie ein besonderes Interesse nachweisen müssen. Erfasst sind insbesondere das Verkehrswertgutachten, die Grundbuchblattabschrift sowie Anordnungs-, Beitritts- und Gläubigeranmeldungen.

Die darin enthaltenen personenbezogenen Daten müssen grundsätzlich nicht geschwärzt werden. Die Datenverarbeitung durch die Einsichtsgewährung ist nach Art. 6 Abs. 1 lit. e DSGVO gerechtfertigt, da eine umfassende Information potenzieller Bieter der erfolgreichen und wertgerechten Verwertung des Grundstücks dient. Ein Anspruch auf Einsicht in sämtliche übrigen Aktenbestandteile folgt daraus jedoch nicht.

Das OLG Köln untersagt im Wege der einstweiligen Verfügung die Veröffentlichung heimlich angefertigter Tonaufnahmen aus einem privaten Livestream. Die identifizierende Wiedergabe des gesprochenen Wortes ohne Einwilligung verletzt das allgemeine Persönlichkeitsrecht, sofern kein überwiegendes Informations- oder Veröffentlichungsinteresse besteht.

Die DSGVO schliesst einen auf nationales Recht gestützten präventiven Unterlassungsanspruch nicht aus. Zwar vermittelt sie selbst keinen allgemeinen Anspruch auf Unterlassung künftiger Datenverarbeitungen; die Mitgliedstaaten dürfen einen solchen Rechtsbehelf jedoch vorsehen.

Das VG Köln entschied, dass ein Antrag auf die Studierenden-Energiepreispauschale nicht zwingend digital und unter Angabe einer E-Mail-Adresse gestellt werden musste. Die nordrhein-westfälische Verordnung durfte solche Formerfordernisse nicht einführen, da die bundesgesetzliche Ermächtigung lediglich die Bestimmung der zuständigen Stelle, nicht aber die Ausgestaltung des Antragsverfahrens umfasste.

Der schriftlich gestellte Antrag war daher wirksam; das Land wurde zur Auszahlung der Pauschale verpflichtet. Die datenschutzrechtlichen Einwände des Klägers gegen die unverschlüsselte E-Mail-Kommunikation waren für die Entscheidung letztlich nicht ausschlaggebend.

Das OLG Bamberg verpflichtet eine sehr grosse Online-Plattform, ihre Nutzeroberfläche DSA-konform auszugestalten. Die Möglichkeit, auf einen nicht profilbasierten Feed umzuschalten, darf nicht in einem schwer auffindbaren Kontextmenü verborgen sein, sondern muss unmittelbar und leicht zugänglich angeboten werden. Auch das Verfahren zur Meldung rechtswidriger Inhalte muss benutzerfreundlich und transparent ausgestaltet sein.

Zugleich bestätigt das Gericht, dass Verbraucherschutzverbände Verstösse gegen Art. 16, 27 und 38 DSA im Wege der Unterlassungsklage verfolgen können. Die behördliche Aufsicht durch die EU-Kommission oder nationale Koordinatoren schliesst eine zivilrechtliche Verbandsklage nicht aus.

Das LG Hamburg stellt klar, dass rechtswidrige Inhalte einer Online-Plattform nicht zwingend über das Meldeverfahren nach Art. 16 DSA angezeigt werden müssen. Auch eine hinreichend konkrete Meldung per E-Mail kann dem Hostinganbieter Kenntnis im Sinne von Art. 6 DSA vermitteln und entsprechende Prüf- und Löschpflichten auslösen.

Das von der Plattform bereitgestellte Formular ist lediglich ein zusätzlicher Meldeweg. Im konkreten Fall erschwerten zudem Zeichenbegrenzungen, fehlende Möglichkeiten zum Hochladen von Belegen und die vorgesehene Weitergabe personenbezogener Daten eine wirksame Rechtsdurchsetzung.